Una nueva vulnerabilidad, producto de la concatenación de dos fallos críticos ya parcheados en SAP NetWeaver, ha sido detectada, poniendo en riesgo a las organizaciones ante el compromiso de sus sistemas y el robo de datos. El exploit combina CVE-2025-31324 y CVE-2025-42999 para evadir la autenticación y lograr la ejecución remota de código.
Las vulnerabilidades fueron abordadas por SAP en abril y mayo de 2025, después de haber sido explotadas como zero-days desde marzo. Grupos de ransomware y extorsión de datos, como Qilin, BianLian y RansomExx, han estado utilizando estas vulnerabilidades, al igual que grupos de espionaje vinculados a China, dirigidos a redes de infraestructura crítica.
La cadena de ataque utiliza primero CVE-2025-31324 para evitar la autenticación y cargar el payload malicioso al servidor. Luego, la vulnerabilidad de deserialización (CVE-2025-42999) se explota para desempaquetar el payload y ejecutarlo con permisos elevados.
La publicación de este gadget de deserialización es particularmente preocupante debido a que puede reutilizarse en otros contextos, como la explotación de vulnerabilidades de deserialización parcheadas recientemente por SAP en julio. Esto incluye CVE-2025-30012, CVE-2025-42963, CVE-2025-42964, CVE-2025-42966 y CVE-2025-42980.
Desde INGENIERÍA TELEMÁTICA SAS, recomendamos encarecidamente aplicar los últimos parches de seguridad lo antes posible. Es crucial revisar y restringir el acceso a las aplicaciones SAP desde Internet, así como monitorear activamente las aplicaciones SAP en busca de cualquier signo de compromiso.
Para proteger su infraestructura contra este tipo de amenazas, INGENIERÍA TELEMÁTICA SAS ofrece soluciones de firewall Fortinet, EDR/XDR, SOC y protección de correo electrónico. Contáctenos a través de nuestro formulario o medios habituales para evaluar su seguridad y brindarle la mejor solución para su empresa.
Fuente original: Ver aquí